Verwerkersovereenkomst Advistent
Deze verwerkersovereenkomst geldt tussen de organisatie die Advistent afneemt, hierna de verwerkingsverantwoordelijke, en Van Prooijen Services, handelend onder de naam Advistent, Torenstraat 11, 8541 AB Joure, KvK 78037476, hierna de verwerker.
De overeenkomst vormt samen met de bedrijfsovereenkomst en de gebruiksvoorwaarden één geheel. Zij geldt wanneer en voor zover Advistent persoonsgegevens namens de klant verwerkt.
1. Onderwerp, duur en instructies
De verwerker verwerkt persoonsgegevens uitsluitend om de overeengekomen Advistent-diensten te leveren, te beveiligen, te onderhouden en ondersteunen, en alleen op gedocumenteerde instructies van de verwerkingsverantwoordelijke. De bedrijfsovereenkomst, het gebruik van ingestelde functies en schriftelijke supportverzoeken gelden als gedocumenteerde instructies.
De verwerking loopt zolang de dienstverlening duurt en daarna alleen zolang bewaring nodig is voor verwijdering, overdracht, beveiliging, wettelijke verplichtingen of de afhandeling van een geschil.
Als een instructie naar het oordeel van de verwerker in strijd is met privacywetgeving, meldt de verwerker dit vóór uitvoering, tenzij de wet die melding verbiedt.
2. Aard en doel van de verwerking
De verwerking omvat, afhankelijk van de gebruikte functies: het beheren van accounts en toegangsrechten; het beantwoorden en bewaren van adviesvragen; het analyseren en uitlezen van documenten; het tonen van bronnen en berekeningen; het verwerken van feedback en praktijkaanvullingen; technische beveiliging, logging en foutopsporing; en ondersteuning van gebruikers.
De klant bepaalt welke functies worden gebruikt en welke gegevens daarin worden ingevoerd. Advistent gebruikt namens de klant verwerkte cliëntgegevens niet voor eigen marketing of voor andere onverenigbare doeleinden.
3. Betrokkenen en persoonsgegevens
Betrokkenen kunnen zijn: medewerkers en ingehuurde professionals van de klant, cliënten en potentiële cliënten van de klant, vertegenwoordigers van ondernemingen en andere personen van wie gegevens in een adviesvraag of document voorkomen.
Persoonsgegevens kunnen bestaan uit contact-, account- en gebruiksgegevens; financiële, fiscale, arbeids-, woon-, inkomens-, verzekerings- en ondernemingsgegevens; dossier- en documentinhoud; communicatie, vragen en antwoorden; en technische log- en beveiligingsgegevens.
De dienst is niet bedoeld voor onnodige persoonsgegevens. De klant voorkomt waar mogelijk invoer van burgerservicenummers en bijzondere of strafrechtelijke persoonsgegevens en gebruikt zulke gegevens alleen als daarvoor een geldige grondslag en noodzaak bestaat.
4. Verplichtingen van de klant
De klant is verantwoordelijk voor de rechtmatigheid, juistheid en noodzakelijkheid van de verwerking, voor het informeren van betrokkenen en voor de bevoegdheid van medewerkers. De klant richt rollen en toegang passend in, houdt accounts persoonlijk en meldt beveiligingsincidenten of onjuiste toegang zonder onnodige vertraging.
De klant geeft geen instructies die Advistent verplichten in strijd met toepasselijke wetgeving of de overeengekomen beveiligingsgrenzen te handelen.
5. Vertrouwelijkheid en beveiliging
Personen die onder gezag van de verwerker toegang hebben tot persoonsgegevens zijn tot geheimhouding verplicht en verwerken deze alleen voor hun taak. De verwerker beperkt toegang op basis van rollen en noodzakelijkheid.
De verwerker past passende technische en organisatorische maatregelen toe, waaronder versleutelde verbindingen, toegangsbeveiliging, scheiding van bevoegdheden, logging, herstelvoorzieningen, onderhoud van programmatuur, beperking van bewaartermijnen en maatregelen om beschikbaarheid, vertrouwelijkheid en integriteit te beschermen. De maatregelen worden afgestemd op risico, stand van de techniek en aard van de gegevens.
6. Subverwerkers
De klant geeft algemene toestemming voor het gebruik van subverwerkers die nodig zijn voor hosting, opslag, e-mail, beveiliging, betalingen en AI- of documentverwerking. De actuele categorieën en leveranciers staan in de privacyverklaring.
Advistent legt subverwerkers ten minste gelijkwaardige privacy- en beveiligingsverplichtingen op. Bij een voorgenomen wezenlijke wijziging informeert Advistent de klant vooraf. De klant kan binnen veertien dagen gemotiveerd bezwaar maken vanwege aantoonbare privacyrisico’s. Partijen zoeken dan een werkbare oplossing; als die ontbreekt, kan de betrokken functie of overeenkomst worden beëindigd.
7. Doorgifte buiten de EER
Voor doorgiften buiten de Europese Economische Ruimte gebruikt de verwerker een geldig doorgiftemechanisme, zoals een adequaatheidsbesluit of de toepasselijke standaardcontractbepalingen, aangevuld met passende maatregelen waar dat nodig is.
8. Verzoeken van betrokkenen en toezicht
De verwerker helpt de klant, voor zover redelijk en mogelijk, bij verzoeken van betrokkenen, beveiliging, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en overleg met toezichthouders. Ontvangt de verwerker rechtstreeks een verzoek over klantgegevens, dan stuurt hij dit door en beantwoordt hij het niet zelfstandig, tenzij de wet dat vereist.
9. Datalekken
De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging nadat deze is vastgesteld. De melding bevat de beschikbare informatie over aard, vermoedelijke gevolgen en genomen of voorgestelde maatregelen. Nieuwe informatie kan in delen volgen. De klant beslist over meldingen aan toezichthouders en betrokkenen, tenzij de wet anders bepaalt.
10. Bewaren, teruggeven en verwijderen
Na het einde van de dienstverlening verwijdert of retourneert de verwerker persoonsgegevens op keuze van de klant, voor zover dit technisch redelijk is, en verwijdert bestaande kopieën volgens de normale verwijder- en back-upcycli. Dit geldt niet voor gegevens die wettelijk moeten worden bewaard of die nodig zijn voor een rechtsvordering; die gegevens blijven afgeschermd en worden niet voor andere doelen gebruikt.
11. Informatie en controle
De verwerker verstrekt informatie die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen. De klant kan eenmaal per jaar, en vaker na een relevant incident, een controle laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Partijen stemmen omvang en timing vooraf af om veiligheid en dienstverlening niet onnodig te verstoren. Kosten zijn voor de klant, behalve bij een vastgestelde wezenlijke tekortkoming van de verwerker.
12. Rangorde, wijzigingen en recht
Bij strijdigheid gaat deze verwerkersovereenkomst voor op de gebruiksvoorwaarden voor zover het de verwerking namens de klant betreft. De bedrijfsovereenkomst kan concrete aanvullende instructies bevatten. Op deze overeenkomst is Nederlands recht van toepassing en geschillen volgen de regeling in de gebruiksvoorwaarden.
Advistent kan beveiligingsmaatregelen en subverwerkers aanpassen wanneer de bescherming gelijkwaardig blijft. Een inhoudelijke verslechtering van de rechten van de klant wordt vooraf gemeld.